← España

PS-00426-2015

1/10 Procedimiento Nº PS/00426/2015 RESOLUCIÓN: R/00264/2016 En el procedimiento sancionador PS/00426/2015, instruido por la Agencia Española de Protección de Datos a la entidad CAIXABANK, S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 09/09/2014, tuvieron entrada en esta Agencia sendos escritos de D. A.A.A. (en lo sucesivo el denunciante) en los que declara lo siguiente: . Que el día 06/03/2014, a las 12:50 horas, aproximadamente, utilizó el cajero automático de la entidad bancaria núm. **** “La Caixa” ubicado en la (C/.......1)(Barcelona). . Que su imagen quedó de manera permanente expuesta al público en la pantalla del cajero. Que fue advertido de ello por un amigo y, un día después, lo comprobó personalmente . Que informó sobre el incidente al responsable de la sucursal y formuló reclamación a través de la “OMIC” Oficina Municipal de Información al Consumidor de Mataró, y que esta oficina, con fecha 02/09/2014, le informó que realizó gestiones ante la citada entidad bancaria con resultado negativo. Con su denuncia, adjunta los documentos siguientes: . Fotografía de la pantalla de un cajero de la Caixa en la que aparece la imagen de una persona en la pantalla. . Copia de la hoja oficial de reclamaciones de la Generalitat de Cataluña, presentada por el denunciante, con sello de entrada en el registro del Ayuntamiento de Mataró y sello de La Caixa, ambos con fecha 25/03/2014, en la que denuncia lo hechos antes expuestos. . Respuesta de la OMIC del Ayuntamiento de Mataró, fechada el 01/08/2014, en la que comunica que realizó actuaciones ante La Caixa y archiva el procedimiento por falta de respuesta de la misma. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. Con fecha 05/11/2014, los Servicios de Inspección de la AEPD solicitaron la siguiente información a Caixabank, S.A. (en lo sucesivo CAIXABANK): . Circunstancias o problemas técnicos por los que la imagen de un usuario del cajero señalado en la denuncia permaneció congelada en la pantalla del mismo, a la vista de otros usuarios, entre los días 06 y 07/03/2014. . Medidas que se han adoptado para que dicha situación no vuelva a producirse. 2. Al no recibirse respuesta, el 18/12/2014 se reiteró la solicitud de información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 3. Con fecha de entrada en el registro de la AEPD de 26/12/2014 se recibió de CAIXABANK la siguiente respuesta: “Consultado nuestro servicio de incidencias de cajeros y en el Servicio de Atención al Cliente de la Entidad, salvo error u omisión, no se ha detectado ninguna incidencia ni reclamación por parte de ningún cliente como la que ha motivado la citada denuncia.” “Aunque no se haya detectado ninguna incidencia, a raíz de dicha solicitud información se ha procedido a revisar el software y los sistemas de los cajeros automáticos con el fin de detectar posibles errores. No obstante, esta Entidad viene sometiendo el software y los sistemas de cajeros automáticos a continuas revisiones correctivas y evolutivas a fin de evitar incidencias y de mejorar las condiciones operativas de los clientes.” 4. Con fecha 22/01/2015, los Servicios de Inspección se personaron en la sucursal bancaria núm. **** “La Caixa”, ubicada en la (C/.......1) (Barcelona). Durante dicho acto, los representantes de CAIXABANK realizaron las siguientes manifestaciones: .El Director de la sucursal está a cargo de la entidad desde mayo de 2014 y no se encontraba presente cuando sucedió la incidencia. . Se reconoce la firma del representante de la sucursal, que aparece en la hoja de reclamación presentada por el denunciante, como la firma de un miembro del personal de la sucursal. . Las imágenes que muestra la pantalla del cajero automático sustituyen a los antiguos espejos que permitían al usuario del cajero comprobar si alguien se aproximaba por su espalda. . Estas imágenes no se graban y no están conectadas con el sistema de videovigilancia de la entidad. Desde el servicio de seguridad no se puede acceder a dichas imágenes, en particular en tiempo real. . El personal de la sucursal declara que, alrededor del mes de marzo de 2014, y debido a una actualización de los cajeros automáticos, hubo un problema reiterado en el software de los cajeros automáticos que ocasionaba que las imágenes de los usuarios del cajero se quedaran congeladas una vez terminada la transacción, y que este problema se produjo más de una vez y con distintos usuarios. Por ello, desde la sucursal se emitió un parte de averías para que se resolviese el problema. 5. El inspector actuante comprueba que actualmente los cajeros de la entidad funcionan correctamente en relación con las imágenes de los usuarios capturadas. Comprobó que se recoge la imagen de la persona que está accediendo al cajero y que dicha imagen no queda congelada en la pantalla una vez terminada la operación. 6. En el Acta de Inspección se requirió a la entidad el envío del parte de averías o de la incidencia que se emitió desde la sucursal para que se solucionase el problema de las imágenes congeladas en las pantallas de los cajeros automáticos. La repuesta se recibió por correo electrónico, de 04/02/2015, con una hoja de Excel adjunta denominada “Avaries Feb'14 - Mar'14.xlsx” en la que se encuentran las siguientes entradas (entre otras): . Fecha 07/03/2014. “Pantalla amb imatge de client operant bloquejada”. . Fecha 20/03/2014. “queda imatge persona en la pantalla i no marcha,hem tingut C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 denuncia al respecte”. . Fecha 08/04/2014. “TORNA A FALLAR LA PANTALLA QUE GRABA ALS CLIENTS......URGENT SOLUCIÓ JA!!!!!!!”. TERCERO: Con fecha 24/08/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad CAIXABANK, por la presunta infracción del artículo 4.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, se recibe escrito de la entidad CAIXABANK en el que solicita que se declare la no existencia de infracción conforme a las consideraciones siguientes: . No consta como hecho probado que la imagen del denunciante quedara expuesta en la pantalla del cajero a la vista del público en general o que la misma hubiese sido visionada por otros clientes. . Es cierto que el sistema de video del cajero tuvo incidencias que fueron resueltas por los servicios técnicos, pero ello no acredita que la imagen del denunciante quedara expuesta al público. . En contra de lo indicado en el Acuerdo de apertura, la inspección no constató que las imágenes permanecieran en la pantalla. . De una incidencia o avería no puede deducirse, por virtud del principio de tipicidad, un incumplimiento de lo establecido en el artículo 4.5 de la LOPD. El presente supuesto no puede suponer la comisión de dicha infracción, por cuanto CAIXABANK nunca tuvo la voluntad de tratar o conservar la imágenes del cliente que se captan, por motivos de seguridad, en el cajero. Se trata de una incidencia técnica aislada de la que no se tuvo conocimiento. . Invoca el principio de culpabilidad señalando que no existe grado de intencionalidad; no concurre el requisito de dolo o culpa. Se imputa en base a una presunta responsabilidad objetiva y sin ninguna prueba, considerando que la conservación de datos personales durante plazos excesivos no figura dentro de la práctica habitual de los tratamientos efectuados por la entidad. QUINTO: En fecha 29/10/2015, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como los documentos obtenidos por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/06980/2014. Asimismo, se tuvieron por presentadas las alegaciones a la apertura del procedimiento formuladas por CAIXABANK. SEXTO: Con fecha 21/12/2015, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad CAIXABANK con multa de 40.001 euros (cuarenta mil un euros) por la infracción del artículo 4.5 de la LOPD, tipificada como grave en el artículo 44.3.c), y de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Notificada la citada propuesta, el plazo concedido a CAIXABANK para formular alegaciones transcurre sin que en esta Agencia se haya recibido escrito alguno. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 HECHOS PROBADOS 1. El cajero automático de la sucursal bancaria núm. **** de la entidad CAIXABANK, ubicado en la (C/.......1)(Barcelona), dispone de una función que permite mostrar en la pantalla la imagen de la persona que lo está utilizando. Según las manifestaciones efectuadas por representantes de CAIXABANK pertenecientes a dicha sucursal, las imágenes que muestra la pantalla del cajero automático sustituyen a los antiguos espejos que permitían al usuario del mismo comprobar si alguien se aproximaba por su espalda; tales imágenes no se graban y no están conectadas con el sistema de videovigilancia de la entidad. 2. Con fecha 09/09/2014, se recibió en la AEPD una denuncia formulada por D. A.A.A., en la que declaró que los días 06 y 07/03/2014 utilizó el cajero automático reseñado en el Hecho Probado Primero constatando que su imagen quedó de manera permanente expuesta al público en la pantalla del mismo; y que informó sobre el incidente al responsable de la sucursal. 3. Durante la inspección de fecha 22/01/2015, llevada a cabo por los Servicios de la AEPD en la sucursal bancaria reseñada en el Hecho Probado Primero, los representantes de CAIXABANK pertenecientes a la misma declararon que, alrededor del mes de marzo de 2014, y debido a una actualización de los cajeros automáticos, hubo un problema reiterado en el software de los cajeros automáticos que ocasionaba que las imágenes de los usuarios del cajero se quedaran congeladas una vez terminada la transacción; que este problema se produjo más de una vez y con distintos usuarios; y que, por ello, desde la sucursal se emitió un parte de averías para que se resolviese el problema. . En respuesta al requerimiento recogido en Acta de Inspección, la entidad CAIXABANK aportó a las actuaciones un fichero en formato “Excel”, rotulado “Avaries Feb'14 - Mar'14.xlsx”, en el que figuran, entre otras, las siguientes entradas: . Fecha 07/03/2014. “Pantalla amb imatge de client operant bloquejada”. . Fecha 20/03/2014. “queda imatge persona en la pantalla i no marcha,hem tingut denuncia al respecte”. . Fecha 08/04/2014. “TORNA A FALLAR LA PANTALLA QUE GRABA ALS CLIENTS......URGENT SOLUCIÓ JA!!!!!!!”. 4. Durante la inspección de fecha 22/01/2015, llevada a cabo en la sucursal bancaria reseñada en el Hecho Probado Primero, los Servicios de Inspección de la AEPD comprobaron que los cajeros de la entidad funcionan correctamente en relación con las imágenes de los usuarios capturadas. Comprobaron que se recoge la imagen de la persona que está accediendo al cajero y que dicha imagen no queda congelada en la pantalla una vez terminada la operación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
  3. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
  4. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
  5. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Este concepto de dato personal no puede ser más amplio. La Audiencia Nacional en su sentencia de 08/03/2002, ha señalado que para que exista dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados, tal y como se desprende del mencionado artículo 3 de la Ley, en sus apartados
  6. a)y
  7. f)y también del Considerando 26 de la invocada Directiva 95/46/CE que expresamente señala que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona; que los principios de la protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado”. Atendiendo a la definición contenida en las normas citadas, que consideran dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, la fotografía objeto del presente procedimiento se ajusta a este concepto. Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 El artículo 3 de la LOPD define en su letra
  8. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con aquella definición de tratamiento de datos personales, la incorporación a la pantalla de un cajero automático de la imagen de la persona que lo está utilizando puede considerarse un tratamiento incluido en el ámbito de aplicación de la normativa citada. Así, en el presente supuesto, debe concluirse la existencia de datos de carácter personal y la plena aplicabilidad de las garantías expuestas en la normativa de protección de datos de carácter personal. III En este caso, entre las constataciones obtenidas por los Servicios de Inspección de la Agencia Española de Protección de Datos, consta que las imágenes de usuarios de cajeros automáticos de CAIXABANK captadas durante la utilización de los mismos permanecían en la pantalla después de terminada la operación, visibles para el resto de usuarios. El artículo 4.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), establece: “5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos”. Por su parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 8.6, establece lo siguiente: Artículo 8. Principios relativos a la calidad de los datos. “6. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento”. Así, a menos que exista otra base jurídica, deberá procederse a la cancelación de los datos al haber dejado de ser necesarios o pertinentes para la finalidad para la que fueron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 recabados y que justificó su tratamiento, no pudiendo ser conservados en forma que permita la identificación del interesado, sin perjuicio de la excepción prevista en el artículo 16.3 de la LOPD y por el tiempo estrictamente indispensable que corresponda en cada caso. El apartado 3 del mismo artículo 16 dispone que “La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión”. Estos preceptos, a su vez, se complementan con la previsión contenida en el artículo 16.5 de la LOPD, según el cual “los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”. En definitiva, con carácter general, los plazos de conservación de los datos de carácter personal han de ser ajustados a las finalidades que justificaron la recogida o el tratamiento. De este modo, la conservación de los datos prolongada en el tiempo, más allá de las exigencias que se derivan de las finalidades pretendidas en el momento de la recogida de los mismos, supone un nuevo tratamiento de los datos personales ilícito, aunque se tratase de un tratamiento legítimo en origen. En este caso, CAIXABANK mantiene los datos por un tiempo indeterminado sin justificar las razones que lo motivan ni su adecuación a las finalidades que determinaron la recogida y el tratamiento de los datos, lo que implica una vulneración efectiva de la LOPD. En concreto, consta acreditado que el cajero automático de una sucursal bancaria de CAIXABANK dispone de una función que permite mostrar en la pantalla la imagen de la persona que lo está utilizando, que sustituye a los antiguos espejos que permitían al usuario del comprobar si alguien se aproximaba por su espalda, y que, durante marzo de 2014, se produjo una incidencia en el software de los cajeros automáticos que ocasionó que la imagen quedara de manera permanente expuesta al público en la pantalla del cajero una vez terminada la transacción, lo cual excede la finalidad prevista. Los mismos representantes de la entidad, según manifestaciones recogidas en acta de inspección, admitieron que este problema se produjo con distintos usuarios y que desde la sucursal se emitió un parte de averías para que se resolviese el problema. En relación con este incidente consta incorporado a las actuaciones, aportado por CAIXABANK, un fichero en formato “Excel”, rotulado “Avaries Feb'14 - Mar'14.xlsx”, en el que figuran las siguientes entradas: . Fecha 07/03/2014. “Pantalla amb imatge de client operant bloquejada”. . Fecha 20/03/2014. “queda imatge persona en la pantalla i no marcha,hem tingut denuncia al respecte”. . Fecha 08/04/2014. “TORNA A FALLAR LA PANTALLA QUE GRABA ALS CLIENTS......URGENT SOLUCIÓ JA!!!!!!!”. IV CAIXABANK ha manifestado en su escrito de alegaciones que la incidencia se produce por una avería técnica y que no existe intencionalidad alguna en la comisión de los hechos que han motivado la imputación. No obstante, se considera que la incidencia se produce en su ámbito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 de responsabilidad y como consecuencia de una modificación en la configuración de los cajeros efectuada a su iniciativa, la cual conlleva un tratamiento de datos personales, lo que obliga a la misma a asegurarse de su adecuación a la normativa de protección de datos y a corregir las anomalías apreciadas en su funcionamiento. En este caso, considerando las anotaciones registradas en el fichero “Excel” aportado, resulta que la incidencia se mantuvo, al menos, durante un mes. En relación con el principio de culpabilidad invocado, cabe señalar que el mismo es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). V La conservación de los datos de carácter personal, en general, durante plazos excesivos o indeterminados, según el detalle expuesto, supone la comisión, por parte de CAIXABANK, de una infracción del artículo 4.5 de la LOPD, tipificada como grave en el artículo 44.3.
  9. c)de dicha norma, que califica así “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, pudiendo ser sancionada, con multa de 40.001 euros a 300.000 euros. VI El artículo 45.2 y 4 de la LOPD establecen lo siguiente: “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, en concreto, el volumen de datos personales afectados por la infracción; la ausencia de beneficios y de perjuicios distintos a los que conlleva la infracción; así como la regularización llevada a cabo por CAIXABANK para subsanar la incidencia (según consta en el Hecho Probado Cuarto); procede la imposición de una multa por el importe mínimo previsto para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CAIXABANK, S.A., por una infracción del artículo 4.5 de la LOPD, tipificada como grave en el artículo 44.3.
  20. c)de la LOPD, una multa de 40.001 euros (cuarenta mil un euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.